CVE-2026-85014
Açıklama
undici'nin deneysel WebSocketStream istemcisi, uzak bir eşin WebSocket kapatma el sıkışması yapmadan TCP bağlantısını kapatması durumunda tüm Node.js işlemini çökertebilir. Temiz olmayan bir kapatmada, dahili soket-kapatma işleyicisi yazılabilir akış üzerinde koşulsuz olarak abort çağrısı yapar ve dönen promise'i göz ardı eder; ancak WHATWG Streams standartlarına göre kilitli bir yazılabilir akışı durdurmak, TypeError ile reddedilen bir promise döndürür. Uygulama, yazmanın tek yolu olan bu yazılabilir akış üzerinde bir yazıcıya sahip olduğu için red işlemi asla gözlemlenmez ve Node'un varsayılan yönetilmeyen-red (unhandled-rejection) davranışı işlemi sonlandırır. Bu nedenle, güvenilmeyen bir sunucu, herhangi bir kimlik doğrulama veya uygulama hatası olmaksızın, tek bir ani bağlantı kesintisiyle bir istemciyi çökertebilir. Bu durum, 7.0.0'dan 7.29.1'e kadar ve 8.0.0'dan 8.10.2'ye kadar olan undici sürümlerini etkilemektedir. Kullanıcıların undici 7.29.1 veya 8.10.2 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- nodejs undici7.29.1, 8.10.2 ya da sonraki bir sürüm
- undici7.29.1, 8.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs undici | 7.0.0 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
| undicinpm | 7.0.0 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.